Угроза
Обход систем защиты
из-за уязвимости
Возможность перехвата поиска библиотек DLL
в Активе
ОС Windows
Описание угрозы
Чтобы избежать обнаружения во время компрометации инфраструктуры злоумышленники могут попытаться обойти действующие системы защиты. Системы защиты можно обойти через удаление / отключение программного обеспечения безопасности, обфускацию / шифрование данных и сценариев. Злоумышленники также могут использовать надежные процессы, чтобы скрыть и замаскировать свои вредоносные программы.
Описание уязвимости
ОС Windows использует общий метод поиска необходимых библиотек DLL для загрузки в программу. Захват DLL-файлов может осуществляться с целью закрепления в инфраструктуре, а также повышения привилегий и/или уклонения от ограничений на выполнение файлов.
Злоумышленник может разместить файлы вредоносной DLL заранее до легитимной библиотеки или заменить существующую библиотеку DLL, чтобы заставить программу загрузить вредоносную библиотеку DLL.
Если уязвимая для поиска программа настроена для запуска на более высоком уровне привилегий, то загружаемая библиотека DLL, контролируемая злоумышленником, также будет выполняться на более высоком уровне. В этом случае метод может быть использован для повышения привилегий.
Программы, которые становятся жертвами захвата пути, могут вести себя нормально, потому что вредоносные библиотеки DLL могут быть настроены также для загрузки легальных библиотек DLL, которые они должны были заменить.
Злоумышленник может разместить файлы вредоносной DLL заранее до легитимной библиотеки или заменить существующую библиотеку DLL, чтобы заставить программу загрузить вредоносную библиотеку DLL.
Если уязвимая для поиска программа настроена для запуска на более высоком уровне привилегий, то загружаемая библиотека DLL, контролируемая злоумышленником, также будет выполняться на более высоком уровне. В этом случае метод может быть использован для повышения привилегий.
Программы, которые становятся жертвами захвата пути, могут вести себя нормально, потому что вредоносные библиотеки DLL могут быть настроены также для загрузки легальных библиотек DLL, которые они должны были заменить.
Описание типа актива
Microsoft Windows любых версий
Область действия: Вся организация
Объекты атаки
Средство защиты информации
Классификация
КЦД:
Целостность
?
STRIDE:
Повышение привилегий
?
Источники угрозы
Внешний нарушитель -
Средний потенциал
?
Внутренний нарушитель -
Средний потенциал
?
Название | Severity | IP | Integral | |
---|---|---|---|---|
1111111 111 11 1111 11111111111111111 1111111 1 11111111111111111 |
-
|
1 |
-
|
|
11 111111111 111 1111111111111111111111111 1111 1 11111 1111111 |
-
|
1 |
-
|